Dati Sanitari, IA e EHDS: le nuove regole europee per l'uso dei dati sanitari elettronici

La formale pubblicazione del Regolamento sullo Spazio Europeo dei Dati Sanitari (EHDS – European Health Data Space), adottato l’11 febbraio 2025, pubblicato sulla GU dell’UE il 5 marzo 2025 ed entrato in vigore il 25 marzo 2025, con applicazione differita e scaglionata delle sue norme dal 26 marzo 2027 al 26 marzo 2035[1], costituisce il primo spazio dati comune dell’UE dedicato ad un settore specifico e rappresenta un pilastro fondamentale dell’Unione Sanitaria Europea e della più ampia strategia europea per i dati.

Si tratta d’un provvedimento normativo diretto a costituire per l’appunto il primo spazio dati comune dell’UE dedicato ad un settore specifico e costituisce un riferimento fondamentale dell’Unione Sanitaria Europea; esso, mirando a rimodellare in modo significativo tutte le declinazioni del diritto alla salute, inteso sia nella sua dimensione individuale sia come interesse della collettività, rappresenta il primo spazio comune dei dati in un settore specifico, risultando al contempo banco di prova di una più ampia strategia europea che riconosce nella raccolta, nell’elaborazione, nella condivisione e nell’utilizzo del dato, gli elementi cardine dell’evoluzione dell’Unione in senso digitale, nonché della sua affermazione come protagonista nel mercato globale.

L’obiettivo strategico dell’EHDS si caratterizza per una duplicità di motivi e cioè, restituire da un lato ai cittadini un controllo effettivo sulle proprie informazioni mediche, superando le disuguaglianze transfrontaliere, ed al contempo promuovere un mercato unico e sicuro per abilitare l’uso massivo e transfrontaliero dei dati sanitari, indispensabile per sbloccare le enormi potenzialità dell’IA.

L’EHDS intende fornire regole, standard e pratiche comuni, infrastrutture e un quadro di governance sia per l’uso primario (l’utilizzo di dati sanitari elettronici personali per fornire servizi all’individuo) 10, che per l’uso secondario (l’utilizzo di dati sanitari elettronici per esigenze più ampie come la ricerca sanitaria o le politiche pubbliche) dei dati sanitari.

L’obiettivo risulta, inoltre, quello di migliorare il funzionamento del mercato interno stabilendo un quadro giuridico e tecnico uniforme, in particolare per lo sviluppo, la commercializzazione e l’uso di sistemi di cartelle cliniche elettroniche («sistemi EHR») in conformità dei valori dell’Unione. Tale Regolamento mira, inoltre, a creare dataset di dimensioni sufficienti per consentire l’analisi e l’apprendimento automatico dell’intelligenza artificiale, basandosi pure sul concetto di «altruismo dei dati».

L’aspetto più rilevante che emerge dallo studio dell’atto normativo è dato dalla valorizzazione della dimensione solidaristica del dato sanitario elettronico, riconoscendo ad essa una posizione preminente rispetto alla titolarità individuale. Si tratta d’un mutamento di prospettiva assai rilevante, discendendo da essa il superamento di una concezione proprietaria del dato sanitario, fondata prevalentemente sull’autodeterminazione informativa dell’interessato, nonché sul consenso a favore di un assetto che conferisca priorità alla circolazione ed al riutilizzo per il perseguimento di interessi pubblici strutturalmente connessi alla tutela della salute collettiva.

In particolare, le novità e le “radici” del Regolamento sullo Spazio europeo dei dati sanitari

L’importanza del nuovo Regolamento non si può cogliere nell’integralità della propria dimensione se non previa riflessione sulle peculiarità dei dati afferenti alla salute.

La particolare natura dei dati in questione, impone, infatti stringenti vincoli di trattamento, rivelandone tuttavia al contempo una particolare connotazione sociale. Essi, in particolare, per un verso richiedono un elevato livello di protezioni, essendo espressivi della più autentica essenza della privatezza (quindi non soltanto del corpo, delle sue patologie e delle sue multiformi irregolarità), per altro verso, invece, tali dati manifestano una vocazione pubblica diretta ad esprimersi nella possibilità della loro circolazione ed impiego non solo ai fini del miglioramento dell’assistenza individuale, ma altresì per la realizzazione di obiettivi nell’ambito della salute collettiva, soprattutto attraverso la ricerca scientifica, la programmazione delle politiche sanitarie e la raccolta statistica.

Il coniugarsi di questi distinti poli ha progressivamente delineato una traiettoria evolutiva che, muovendo da una concezione “difensiva” del dato propria della Direttiva 95/46/CE, giunge con il GDPR, ad un progressivo temperamento della visione dominicale, mediante la valorizzazione congiunta dei diritti dell’interessato sul controllo dei propri dati e delle esigenze connesse all’interesse pubblico ed alla ricerca; l’evoluzione in questione finisce così col trovare un punto d’approdo all’interno del Regolamento EHDS, in cui viene esplicitata la consapevolezza che la disponibilità e la condivisione su larga scala di dati sanitari elettronici, costituiscono i presupposti dell’effettività di diritti fondamentali e di interessi costituzionalmente garantiti (fra cui in particolare, il diritto alla salute).

Un passo importante, se non decisivo sull’innalzamento della salute collettiva attraverso il miglioramento di quella individuale, è costituito dall’introduzione della categoria del dato sanitario elettronico secondo cui conseguenza immediata e diretta sarebbe l’attivazione degli Stati membri nella conversione in formato digitale dei dati relativi alla salute e dei dati genetici, secondo categorie, tempi e specifiche tecniche armonizzate.

Lo scopo di tale operazione, nonostante l’evidente complessità che la caratterizza, è l’obiettivo dichiarato dell’EHDS di riuscire a mitigare le disparità socioeconomiche.

Mettendo a disposizione i propri dati sanitari elettronici nella prospettiva di ricevere prestazioni sanitarie personalizzate, più tempestive ed efficaci, viene a crearsi un sistema armonizzato di cartelle cliniche elettroniche, regole comuni e meccanismi di coordinamento; in questo modo le persone fisiche vengono abilitate all’esercizio di una serie di diritti strumentali alla riduzione delle disuguaglianze nell’accesso ai servizi sanitari, nonché nel godimento effettivo del diritto alle cure, generando così un impatto positivo sullo stato di salute individuale.

Inoltre, ed alla luce del diritto d’accesso ai dati sanitari elettronici personali rientranti nelle categorie prioritarie di cui all’art. 14 EHDS (e cioè i profili sanitari sintetici dei pazienti; b) le prescrizioni elettroniche; c) le dispensazioni elettroniche; d) gli esami diagnostici per immagini e relativi referti di immagini; e) i risultati degli esami medici, compresi i risultati di laboratorio ed altri risultati diagnostici e relativi referti ed f) le lettere di dimissione, l’art. 3 del Regolamento (UE) 2025/327 riconoscendo un diritto d’accesso ai dati sanitari elettronici immediato, gratuito ed in un formato facilmente leggibile, unitamente alla possibilità di scaricare senza oneri una copia elettronica dei propri dati, lascia emergere con chiarezza i profili di equità che caratterizzano la disciplina dell’uso primario del dato sanitario elettronico.

All’interno della stessa ottica di rimozione degli ostacoli di natura sociale ed economica, si colloca altresì il diritto alla portabilità dei dati sanitari elettronici, strumentale alla piena realizzazione della continuità dell’assistenza sanitaria. Sulla base dell’art. 7 EHDS, infatti, allorquando le persone fisiche decidono di concedere accesso ai propri dati rivolgendosi ad un diverso professionista sanitario, non devono sussistere impedimenti, la trasmissione dovendo avvenire in modo immediato, gratuito e privo di ostacoli tecnici ed amministrativi.

Inoltre, e ad ulteriore integrazione del suddetto spettro garantista votato all’eliminazione delle disparità esistenti nel settore sanitario sul piano nazionale ed europeo, la sequenza normativa successiva finisce col contemplare diritti ulteriori, diretti verso il bilanciamento tra la massima condivisione ed il controllo dei dati sanitari elettronici da parte delle persone fisiche; fra essi spicca il diritto di inserire informazioni nella propria cartella clinica, purché chiaramente distinguibili da quelle caricate dal professionista sanitario (art. 5 EHDS), il diritto di limitare l’accesso dei professionisti sanitari alla totalità o parte dei dati sanitari elettronici, senza che la restrizione risulti ad essi visibile (art. 8 EHDS), ed il diritto di opt-out, cioè di esclusione dei professionisti sanitari dall’uso primario dei propri dati sanitari elettronici tramite i servizi di accesso predisposti (art. 10 EHDS).

Infine, nel conclusivo Capo II del Regolamento EHDS, gli artt. 23 e 24 risultano rispettivamente dedicati alla piattaforma centrale di interoperabilità per la sanità digitale, diretta cioè a semplificare lo scambio transfrontaliero dei dati sanitari elettronici mediante i punti di contatto nazionali degli Stati membri. Si tratta, nello specifico di un’infrastruttura la cui natura non è una novità assoluta all’interno del panorama europeo, essendo già stata introdotta dalla Direttiva 2011/24/UE, sennonché l’assenza di un obbligo generalizzato ne aveva compromesso l’effettività, giustificando a posteriori la scelta del legislatore europeo di renderne obbligatorio l’utilizzo nell’ambito dello Spazio europeo dei dati sanitari.

Ricostruzione e natura dei rapporti tra soggetti che operano all’interno dello spazio di condivisione dei dati

La descrizione dei profili della responsabilità per un eventuale trattamento di dati sanitari non conforme, passa necessariamente attraverso l’individuazione del titolare del trattamento, nella definizione di cui all’art. 4 del GDPR.

A sua volta il Considerando n. 79 reg. EHDS, definisce nel dettaglio i ruoli del trattamento nelle varie fasi del procedimento volto alla circolazione dei dati sanitari per uso secondario. Esso, in particolare, tende a precisare che, nel trattamento dei dati sanitari elettronici iniziato a seguito di un’autorizzazione o d’una richiesta di dati sanitari, debbono essere considerati titolari di dati sanitari gli organismi responsabili dell’accesso ai dati sanitari e gli utenti dei dati elettronici iniziato a seguito di un’autorizzazione o di una richiesta in base ai rispettivi ruoli che svolgono e per una specifica parte del processo.

Ai sensi dell’art. 74 del Regolamento EHDS, il titolare dei dati sanitari è considerato titolare del trattamento per la messa a disposizione dei dati sanitari richiesti in favore dell’organismo responsabile dell’accesso ai dati sanitari. Quest’ultimo, a sua volta, è titolare del trattamento nello svolgimento dei compiti ad esso attribuiti dal Regolamento.

Inoltre, quando agisce per conto dell’utente dei dati sanitari nell’ambito di un’autorizzazione ai dati rilasciata ai sensi dell’art. 68 EHDS, l’organismo responsabile dell’accesso ai dati sanitari assume il ruolo di responsabile del trattamento, mentre l’utente dei dati sanitari è considerato titolare del trattamento dei dati sanitari elettronici personali trattati sulla base dell’autorizzazione ricevuta.

In questa prospettiva, occorre mantenere distinta la terminologia propria dell’EHDS da quella del GDPR. Il “titolare dei dati sanitari” nel lessico dell’EHDS non coincide necessariamente, in ogni fase del processo, con il “titolare del trattamento” ai sensi dell’art. 4 GDPR.

La qualificazione dei ruoli deve quindi essere condotta caso per caso, verificando chi detenga i dati sanitari, chi li metta a disposizione, chi gestisca l’accesso, chi li utilizzi e chi determini finalità e mezzi del trattamento.

Tale distinzione assume rilievo decisivo per individuare correttamente obblighi documentali, misure di sicurezza, responsabilità e possibili profili risarcitori.

Dal punto di vista dell’effettività, per fare valere i diritti eventualmente lesi da un trattamento dei dati sanitari non corretto, all’interno del regolamento EHDS esiste una tutela che, del pari del GDPR, si prefigura come concorrente e non alternativa.

La doppia tutela, infatti, si articola sia in quella di tipo amministrativo, attraverso il reclamo all’autorità di sanità digitale competente, oppure all’organismo responsabile dell’accesso ai dati sanitari, nonché, infine, per una tutela giurisdizionale affidata all’autorità giudiziaria di ogni Stato membro.

Sulla base degli artt. 21 ed 81 reg. EHDS, relativi ad altrettanti capi della norma europea, fatti salvi eventuali altri ricorsi amministrativi o giurisdizionali, le persone fisiche e giuridiche hanno il diritto di presentare un reclamo, purché i loro diritti od interessi siano influenzati negativamente.

Al fianco della previsione di sanzioni amministrative per la violazione del regolamento EHDS, vi è altresì una norma che regola la responsabilità civilistica e cioè l’art. 100 che dovrà a sua volta essere confrontata con quanto previsto dalla norma omologa di cui all’art. 82 GDPR (ed a tenore della quale: “qualsiasi persona fisica o giuridica che subisca un danno materiale o immateriale causato da una violazione di legge del GDPR ha il diritto di ottenere un risarcimento, conformemente al diritto dell’Unione e nazionale”).

Per quanto riguarda, infine, il concetto di danno risarcibile, dovrebbe essere interpretato in senso lato, alla luce della giurisprudenza della Corte di giustizia, così da rispecchiare pienamente gli obiettivi del regolamento EHDS, sempre facendo salve le eventuali richieste di risarcimento danni derivanti dalla violazione di altre norme del diritto dell’Unione o nazionale.

Le persone fisiche, quindi, dovrebbero essere poste in condizioni di ottenere pieno ed effettivo riconoscimento per il danno subito, ad esempio, in caso di fatti che abbiano come effetto quello della re identificazione di persone fisiche, del trattamento di dati sanitari personali al di fuori dell’ambiente di trattamento sicuro ed in caso di trattamento dei dati per usi vietati od al di fuori di un’autorizzazione.

L’EHDS apre una fase nuova per tutti i soggetti che trattano, condividono o valorizzano dati sanitari elettronici: strutture sanitarie, imprese medtech, società digital health, centri di ricerca, provider tecnologici, enti pubblici e operatori coinvolti nello sviluppo di sistemi di intelligenza artificiale applicati alla salute.

La conformità non riguarda più soltanto la protezione dei dati sanitari, ma richiede una governance integrata tra EHDS, GDPR, AI Act, interoperabilità, uso primario e secondario dei dati, responsabilità dei soggetti coinvolti e gestione del rischio regolatorio.

P&S Legal assiste imprese, operatori sanitari, società tecnologiche e istituzioni nella costruzione di modelli conformi per la gestione dei dati sanitari elettronici, la compliance EHDS, la governance dei dati sanitari per l’intelligenza artificiale, la qualificazione dei ruoli privacy e la valutazione dei rischi legali connessi all’uso dei dati nella sanità digitale.

Per una consulenza su EHDS e dati sanitari, AI e dati sanitari, uso secondario dei dati sanitari per ricerca e innovazione o compliance privacy nel settore health tech, è possibile contattare lo Studio per una prima valutazione del progetto o del modello operativo.